Vielen Dank für Ihre Registrierung. Sie haben jetzt den Aktivierungslink für Ihr Konto per E-Mail erhalten.

Ihr Konto ist aktiviert. Wir wünschen Ihnen viel Lesevergnügen.

Vielen Dank für Ihre Bestellung. Wir wünschen Ihnen viel Lesevergnügen.

Patientendaten der CSS gelangen in falsche Hände

Delikate Informationen einer CSS-Kundin tauchten im Account eines anderen Versicherten auf. Obwohl die Versicherung den Datenschutz verletzt hat, muss sie kaum mit rechtlichen Konsequenzen rechnen.
Yasmin Kunz
Der Hauptsitz der CSS Versicherung in Luzern (Bild: Boris Bürgisser, 24. April 2017)

Der Hauptsitz der CSS Versicherung in Luzern (Bild: Boris Bürgisser, 24. April 2017)

Patientendaten sind eine heikle Angelegenheit. Sie gehen nur den Patienten, den Arzt und die Versicherung etwas an. Wer sonst noch über den Gesundheitszustand informiert werden darf, entscheidet der Patient. Anders war das im Fall von R.K. Ihre Rückforderungsbelege landeten bei einem anderen CSS-Kunden. Sämtliche Angaben wie Name, Geburtsdatum, Wohnort, Angaben zu Arztrechnungen waren für den Fremden ersichtlich. R.K. ist in psychiatrischer Behandlung, wie der «Blick» berichtet.

Der Versicherte, der fälschlicherweise Einblick in ihre Dokumente hatte, meldete dies umgehend der Kasse und wollte wissen, ob dies auch mit seinen Daten passieren könne. Die CSS versicherte ihm nur, dass der Fehler behoben sei, wie er gegenüber «Blick» sagt. Das Malheur der CSS ereignete sich in deren Online-Kundenportal, wo alle Versicherten Zugang zu ihren Dokumenten haben.

Es handelt sich um einen Einzelfall

Gemäss Christina Wettstein, Sprecherin der CSS, entstand der Fehler nicht durch das System. «Es handelt sich um menschliches Versagen.» Darum könne man auch ausschliessen, dass sich flächendeckend ein solcher Fehler eingeschlichen habe, so Wettstein. Kenntnis von weiteren Fällen habe man nicht. Die CSS bedauert den Vorfall und äussert Verständnis, «dass ein solcher Fehler im Einzelfall sehr unangenehm ist. Wir entschuldigen uns dafür», wie Wettstein sagt. Die CSS kontrolliert jährlich rund 16 Millionen Rechnungen. Die Fehlerquote der CSS liege im Promillebereich, so die Sprecherin. Da es sich nicht um einen Systemfehler handelt, werden die bestehenden Sicherheitsmassnahmen nicht verschärft. «Wir sensibilisieren jedoch unsere Mitarbeiter erneut auf dieses Thema und führen nochmals Schulung durch», so Wettstein.

Die CSS Gruppe mit Sitz in Luzern versichert rund 1,7 Millionen Menschen und zählt mit einem Prämienvolumen von etwa 6,17 Milliarden Franken zu den führenden Schweizer Kranken-, Unfall- und Sachversicherern. In Luzern ist sie nach Concordia die zweitgrösste Kasse.

Wohl kaum rechtliche Konsequenzen für CSS

Die Rechtsanwältin Carmen De la Cruz aus Zug unterstützt und berät Unternehmen in sämtlichen wirtschaftsrechtlichen Belangen mit Schwergewicht im IT-­ und Datenschutzrecht. Den CSS-Fall kenne sie zwar nicht im Detail. Dennoch könne sie sagen, dass eine Datenschutzverletzung vorliege. «Besonders schützenswerte Personendaten wurden Dritten zugänglich gemacht, die kein Recht auf diese Informationen haben.» Das sei natürlich «der worst case» für ein Unternehmen. Sie relativiert diesen Fall aber zugleich wieder: «Wenn es sich, wie die CSS sagt, um einen Einzelfall handelt, dann ist das für die betroffene Person zwar sehr beunruhigend und schwerwiegend, für das Unternehmen allerdings nicht im Kontext mit den Menge der verarbeiteten Rechnungen zu sehen. Problematisch und noch heikler wird es vor allem dann, wenn bei Firmen eine grosse Anzahl Personendaten oder vorliegend sogar besonders schützenswerte Personendaten in falsche Hände gelangen.» Wichtig sei, die Ursache für den Fehler zu finden und die Prozesse allenfalls zu optimieren, ob sie nun technischer oder menschlicher Art seien.

Grössere rechtliche Konsequenzen werde es für das Unternehmen wohl kaum geben. «Ausser der Betroffene kann beweisen, dass ihm mit diesem Fehler ein Schaden zugefügt wurde», sagt De la Cruz. Das ist zum Beispiel dann der Fall, wenn der Arbeitgeber des Opfers durch den Fehler der CSS von der Krankheit erfahren sollte und sie deswegen entlassen würde. «Allenfalls könnte der Betroffene auch Genugtuung für «Rufschädigung» geltend machen, sofern dafür Beweise vorliegen.»

Merkliste

Hier speichern Sie interessante Artikel, um sie später zu lesen.

  • Legen Sie Ihr persönliches Archiv an.
  • Finden Sie gespeicherte Artikel schnell und einfach.
  • Lesen Sie Ihre Artikel auf allen Geräten.